分布式拒絕服務(DDoS)攻擊旨在耗盡網絡資源、應用或服務，讓真正的用戶無法訪問。現(xiàn)在有不同類型的DDoS攻擊，但一般來說，DDoS攻擊會從多臺不同主機同時進行，甚至可影響最大企業(yè)的互聯(lián)網服務及資源的可用性。很多企業(yè)每天都面臨DDoS攻擊;根據Arbor Networks第十次全球基礎設施安全報告顯示，42%的受訪者每個月發(fā)現(xiàn)超過21次DDoS攻擊，在2013年這個數據是25%。不只是這種攻擊的頻率在增加，而且規(guī)模也在擴大。在2013年，只有不到40次攻擊超過100 Gbps，而在2014年159次攻擊超過100 Gbps，最大的是400 Gbps。

DDoS攻擊類型探討

不同類型的DDoS攻擊存在顯著不同，但一般可分為這三大類：

容量耗盡攻擊——這些攻擊的目的是通過帶寬消耗型流量或資源削弱請求來壓倒網絡的基礎設施。

TCP狀態(tài)表耗盡攻擊——攻擊者使用這種方法來濫用TCP協(xié)議的狀態(tài)特性，以耗盡服務器、負載均衡器和防火墻中的資源。

應用層攻擊——這種攻擊的目標是應用或7層網絡服務的某些方面。

容量耗盡攻擊仍然是最常見的DDoS攻擊類型，但結合這三種攻擊方式的攻擊變得越來越常見，這增加了攻擊的時間長度和廣度。DDoS攻擊背后的主要驅動力仍然是：政治和意識形態(tài)、蓄意破壞和在線游戲。是的，游戲玩家會DDoS攻擊游戲基礎設施只是為了在游戲中獲取競爭優(yōu)勢以及贏得網絡游戲。DDoS還是黑客分子和恐怖分子的武器，它也被用于勒索或擾亂競爭對手的業(yè)務。還有越來越多的DDoS攻擊用于牽制戰(zhàn)術，例如，高級持續(xù)威脅活動利用DDoS攻擊讓網絡轉移注意力同時滲出被盜數據。

隨著黑客社區(qū)將復雜而先進的攻擊工具變成易于使用可下載的程序，即使是那些不具備必要知識的人也可以發(fā)起和控制自己的DDoS攻擊。這種情況只會變得更加糟糕，攻擊者將會開始征召一切以增加他們可生成的攻擊流量，從游戲機到路由器和調制解調器等。這些設備具有網絡功能且在默認情況下開啟，并使用默認賬戶和密碼，使得它們成為DDoS攻擊的目標。大多數人還使用通用即插即用(UPnP)，其底層協(xié)議很容易被濫用。Akamai Technologies公司發(fā)現(xiàn)，410萬面向互聯(lián)網的UPnP設備可能容易被用于DDoS攻擊。越來越多沒有受到適當保護或配置的聯(lián)網設備增加了攻擊者生成更強大攻擊的能力。

如何保護系統(tǒng)?

保護聯(lián)網設備和服務是為了盡可能保護互聯(lián)網，也是為了減少被用于DDoS攻擊的設備的數量。攻擊者用于生成DDoS流量的主要協(xié)議是NTP、DNS、SSDP、Chargen、SNMP和DVMRP;任何使用這些協(xié)議的服務都應該謹慎配置，并在硬化專用服務器運行。例如，運行DNS服務器的企業(yè)應該遵循NIST的Special Publication 800-81安全域名系統(tǒng)(DNS)部署指南，而網絡時間協(xié)議網站提供了如何保護NTP服務器的建議。

很多攻擊可行是因為攻擊者可通過欺騙性源IP地址生成流量，企業(yè)需要部署IETF最佳做法文件BCP 38和BCP84中提到的反欺詐過濾器，以防止攻擊者發(fā)送聲稱來自其他網絡的數據包。

所有不同類型的DDoS攻擊都無法預測或避免，即使只有有限資源的攻擊者都可能生成大量流量破壞大型嚴密防護的網站。雖然我們幾乎不可能完全消除或緩解DDoS攻擊，但長期來看減少DDoS攻擊的關鍵是確保所有機器和服務都得到正確配置，讓公共可用的服務不能被攻擊者利用和濫用。通過幫助別人，我們最終將幫助我們自己。